A AMD divulgou 31 novas vulnerabilidades de CPU em uma atualização de janeiro, abrangendo seus chips Ryzen para consumidores e os processadores de data center EPYC. A atualização de vulnerabilidade também inclui uma lista de versões do AGESA, com mitigações para os processadores afetados. A AMD revelou as vulnerabilidades em uma divulgação coordenada com vários pesquisadores, incluindo equipes do Google, Apple e Oracle, o que deu à empresa tempo para desenvolver mitigações antes das listagens públicas.
A AMD listou as várias revisões AGESA que emitiu para seus OEMs para corrigir as vulnerabilidades (o código AGESA é usado para criar o código BIOS/UEFI). No entanto, a disponibilidade de novos patches de BIOS com o novo código AGESA varia de acordo com o fornecedor. Isso significa que você terá que verificar com sua placa-mãe ou fornecedor do sistema para ver se ele postou novas revisões do BIOS com o código AGESA correto.
Como vimos às vezes com sistemas mais antigos, alguns podem não ser atualizados. Parece também que alguns modelos afetados ainda não têm mitigações, mas estamos acompanhando a AMD e atualizaremos isso quando tivermos mais detalhes.
As vulnerabilidades incluem três novas variantes para os processadores Ryzen desktop PC, HEDT, Pro e Mobile voltados para o consumidor. Uma das vulnerabilidades é listada como de alta gravidade, enquanto as outras duas são classificadas como de média ou baixa gravidade. Essas vulnerabilidades podem ser exploradas por meio de hacks de BIOS ou de um ataque ao carregador de inicialização AMD Secure Processor (ASP).
As vulnerabilidades abrangem os chips de desktop Pinnacle Ridge da série Ryzen 2000, juntamente com as linhas de produtos APU das séries 2000 e 5000 que vêm com gráficos integrados (Raven Ridge, Cezanne). Além disso, os processadores HEDT e Pro das séries Threadripper 2000 e 3000 da AMD também são afetados, juntamente com vários processadores móveis Ryzen 2000, 3000, 5000, 6000 e Athlon 3000.
A AMD também listou 28 vulnerabilidades para seus processadores EPYC, quatro dos quais são de alta gravidade. Três das variantes de alta gravidade permitem a execução de código arbitrário por meio de vários vetores de ataque, enquanto uma permite a gravação de dados em determinadas regiões que podem levar à perda de integridade e disponibilidade dos dados. Os pesquisadores também descobriram 15 outras vulnerabilidades classificadas como de gravidade média e nove vulnerabilidades de gravidade baixa.
A AMD nos diz que normalmente divulga suas divulgações de vulnerabilidades duas vezes por ano, em maio e novembro, mas optou por lançar algumas em janeiro devido ao número relativamente grande de novas vulnerabilidades e ao tempo das mitigações.
Os chips da AMD são conhecidos há muito tempo por terem menos vulnerabilidades conhecidas do que os modelos da Intel. No entanto, é difícil determinar se as descobertas inicialmente limitadas em processadores AMD foram devido a uma abordagem de segurança em primeiro lugar para o design de processador reforçado ou se os pesquisadores e invasores se concentraram apenas nos processadores da Intel devido à sua participação de mercado dominante: os invasores quase sempre se concentram no seção transversal mais ampla possível.
Como tal, o recente sucesso da AMD em conquistar participação de mercado da Intel, especialmente no mercado de data center com foco em segurança, fará com que os pesquisadores voltem seus olhos mais para as arquiteturas da AMD em busca de possíveis falhas de segurança. A AMD também teve várias outras novas divulgações de vulnerabilidades no passado recente, incluindo uma variante do estilo Meltdown que requer recodificação de software, junto com Hertzbleed e Take A Way.
Estamos acompanhando a AMD em relação a várias das listas, pois parece que alguns processadores ainda não foram corrigidos.